CVE-2024-4577 - Lab di Rilevamento dell'Iniezione di Argomenti PHP CGI

Un laboratorio completo di detection engineering per CVE-2024-4577 (Iniezione di argomenti PHP CGI). Include box Vagrant preconfigurate, regole Wazuh SIEM e strumenti di exploit per l'addestramento del Blue Team.

Cosa è incluso

• VM Windows Server 2022 - XAMPP + PHP-CGI vulnerabili, Sysmon, Wazuh Agent
• VM Kali Linux - Script di exploit preinstallati
• Wazuh SIEM - Basato su Docker con 54 regole di rilevamento di produzione
• Regole di rilevamento - Wazuh XML, Sigma YAML, IOC

Avvio rapido

Prerequisiti

• Vagrant 2.3+
• VirtualBox 7.0+
• Docker
• Minimo 12GB di RAM

1. Avvia Wazuh SIEM

cd wazuh
docker compose up -d
# Dashboard: https://localhost:443 (admin / SecretPassword)

2. Avvia le VM del Lab

vagrant up
# Downloads ~12GB on first run

3. Ottieni gli IP delle VM

VBoxManage guestproperty enumerate "DetectionLab-Windows" | grep IP
VBoxManage guestproperty enumerate "DetectionLab-Kali" | grep IP

4. Lancia l'attacco

vagrant ssh kali
python3 ~/exploits/CVE-2024-4577.py --url http://<WINDOWS_IP>/ --cmd "whoami"

5. Visualizza il rilevamento

Dashboard Wazuh -> Discover -> Filtro: rule.id: 100442

Box Vagrant

Box preconfigurate su HCP Vagrant Registry:

• CVE-2024-4577/windows - target Windows Server 2022
• CVE-2024-4577/kali - attaccante Kali Linux

Copertura di rilevamento (54 regole)

Credenziali

Struttura del progetto

CVE-2024-4577/
├── Vagrantfile           # Lab VM definitions
├── README.md             # This file
├── detections/           # Detection rules
│   ├── wazuh-rules.xml   # 54 Wazuh detection rules
│   ├── sigma-rules.yml   # Sigma format rules
│   ├── iocs.json         # Indicators of Compromise
│   └── detection-guide.md
└── wazuh/                # Wazuh SIEM stack
    └── docker-compose.yml

Dettagli CVE

• ID CVE: CVE-2024-4577
• Tipo: Esecuzione remota di codice
• CVSS: 9.8 (Critico)
• Versioni affette: PHP 8.1 < 8.1.29, 8.2 < 8.2.20, 8.3 < 8.3.8 (Windows + modalità CGI)
• Causa principale: Il soft hyphen (0xAD) bypassa la correzione di CVE-2012-1823 nella codifica Best-Fit di Windows

Licenza

MIT